DE102005045816B4

DE102005045816B4 - Verfahren, Softwareprogrammprodukt und Vorrichtung zur Herstellung von Sicherheitsdokumenten

Info

Publication number: DE102005045816B4
Application number: DE102005045816A
Authority: DE
Inventors: Hans-Peter Kraus
Original assignee: Safe ID Solutions GmbH
Current assignee: G2K Group GmbH
Priority date: 2005-09-24
Filing date: 2005-09-24
Publication date: 2007-12-06
Anticipated expiration: 2025-09-25
Also published as: EP1943602A1; WO2007033839A1; EA012515B1; EA200800789A1; US20080231893A1; DE102005045816A1

Abstract

Verfahren zur Herstellung von Sicherheitsdokumenten, bei dem ein Sicherheitsdokument mit mindestens einem aus einer Vielzahl von unterschiedlichen Sicherungsmerkmalen durch Drucken, Prägen, Lasern oder ähnliche Verfahren versehen wird, wobei ein Entscheider (HE) über ein Personalisation Server-Sub-Center (PSS) mit mindestens einem Drucker (D) kommuniziert, dadurch gekennzeichnet, dass mindestens ein Drucker (D) einen Druckauftrag (Ordr) nur nach Eingang einer Rückmeldung (R) auf mindestens eine Verifikationsanfrage (A) ausführt, deren Richtigkeit bestätigt wird.

Description

Die vorliegende Erfindung betrifft ein Verfahren zur Herstellung von Sicherheitsdokumenten, ein Softwareprogrammprodukt und eine entsprechende Vorrichtung.
Sicherheitsdokumente, wie beispielsweise Ausweiskarten oder Passdokumente, sind heute mindestens mit einem Sicherungsmerkmal versehen, das aus einer großen Vielzahl von unterschiedlichen Sicherungsmerkmalen ausgewählt ist. Ohne Beschränkung eines Einsatzfeldes wird nachfolgend zur Darstellung der Erfindung nur auf Sicherheitsdokumente in Form von Passdokumenten eingegangen.
Die Erfindung ist jedoch auch auf Chip-Karten anwendbar, wie sie in verschiedenen Bauformen als Zugangsberechtigungsausweis, oder im Mobilfunk- und/oder Pay-TV-Bereich eingesetzt werden. Ein weiteres Einsatzfeld stellen auch sog. Produktsicherheitsmerkmale dar, die beispielsweise als Etiketten oder Siegel an Verpackungen und/oder einer jeweiligen Ware selber angebracht werden können. Produktsicherheitsmerkmale dienen dabei einerseits als Echtheits- und Qualitätsmerkmal, werden aber andererseits zusehends auch mehr für Logistikzwecke im weiteren Sinn verwendet, insbesondere zur Materialfluss- und/oder Lagerkontrolle oder als Diebstahlschutz in Lagern oder Kaufhäusern.
Zum Anbringen mindestens eines aus einer Vielzahl von unterschiedlichen Sicherungsmerkmalen auf, an und/oder in einem Sicherheitsdokument ist nach dem Stand der Technik mindestens eine Vorrichtung zum Drucken, Prägen, Stanzen, Lasern oder zum Umsetzen eines oder mehrerer ähnlicher Verfahren vorgesehen. Ohne Beschränkung werden diese Individualisierungs- oder Personalisierungs-Vorrichtungen nachfolgend unter dem Begriff "Drucker" zusammengefasst. Zum Aufbau von Sicherheitsdokumenten sind modular zusammengesetzte und in sich geschlossene Vorrichtungen aus einer Vielzahl von Druckschriften bekannt. Hierin wird mindestens ein Drucker zusammen mit Blätter- und Positionier- sowie Transport- und Speichervorrichtungen eingesetzt. Derartige Anlagen drucken und verfertigen Sicherheitsdokumente unter Überwachung durch eine Rechnereinheit als Steuereinheit. Allen bekannten Anlagen ist dabei gemein, dass in der Regel am Endpunkt ein vollständig fertiggestelltes und auch personalisiertes Sicherheitsdokument ausgegeben wird, das in einem jeweils vorgegebenen Umfang gegen Fälschungen und/oder Verfälschungen gesichert ist.
Aus der WO 03/077196 A1 sind Verfahren und Gerätesysteme zum Erzeugen und Verfolgen gedruckter Dokumente mit einer eindeutigen Kennung bekannt.
Darüber hinaus ist aus der WO 2004/046907 A1 ein System und ein Verfahren zur automatisierten Erzeugung von druckbaren Dateien aus Daten bekannt, mit Druckauftragserzeugungsmitteln.
Weiterhin ist aus der DE 60102372 T2 eine Vorrichtung zur Herstellen von Pässen sowie ein Verfahren zum Personalisieren bekannt.
Es hat sich jedoch herausgestellt, dass auch eine Installation von derartigen Verfahren und Anlagen in Hoch- und Höchstsicherheitszonen vor Ort nur unzureichend gegen Missbrauch geschützt werden können. Dies gilt insbesondere bei kleineren Anlagen in einer räumlich beengten Umgebung. Als Beispiel hierfür soll auf die Bedingungen bei der Ausgabe von Visa- und Reisedokumenten in Botschaften oder Generalvertretungen einzelner Staaten in einem ausländischen Staat hingewiesen werden.
Es ist daher Aufgabe der vorliegenden Erfindung ein Verfahren zur Herstellung von Sicherheitsdokumenten weiterzubilden, bei dem ein Entscheider über ein Personalisation Server-Sub-Center mit mindestens einem Drucker kommuniziert, sowie ein entsprechendes Computerprogrammprodukt und eine entsprechende Vorrichtung unter deutlich verbesserter Betriebssicherheit.
Diese Aufgabe wird durch die Merkmale der unabhängigen Ansprüche gelöst. Dementsprechend zeichnet sich ein erfindungsgemäßes Verfahren zur Herstellung von Sicherheitsdokumenten dadurch aus, dass mindestens ein Drucker Druckanweisungen nur nach Eingang einer Rückantwort auf mindestens eine Verifikations- bzw. Autorisierungsanfrage ausführt, deren Richtigkeit bestätigt wird. Eine entsprechende Vorrichtung zeichnet sich demgemäss dadurch aus, dass ein Drucker mit Überwachungsintelligenz als Mittel zur Auslösung einer Autorisierungsanfrage in Reaktion auf einen eingehenden Druckauftrag ausgestattet ist. Damit ist erfindungsgemäß erstmals sichergestellt, dass ein Drucker als hoch spezialisiertes Gerät zur Endverarbeitung eines Sicherheitsdokuments nicht in einer Weise unbefugt in Betrieb gesetzt werden kann, indem er an einen systemfremden angreifenden Computer oder eine sonstige unautorisierte Dateneingabeeinheit zur Vorgabe von Druckdaten angeschlossen wird. Die Rechtmäßigkeit einer jeweiligen Druckanweisung wird nunmehr überprüft, wozu ein eigenes Verfahren vorgesehen ist. Damit wird die Betriebssicherheit einer Vorrichtung zur Herstellung von Sicherheitsdokumenten erheblich erhöht, weil nur noch autorisierte Druckaufträge abgearbeitet werden können und eine Einflussnahme von außen noch besser ausgeschlossen wird.
Durch ein erfindungsgemäßes Computerprogrammprodukt wird einer Datenverarbeitungsanlage, die auch verteilte externe Komponenten umfassen kann, zur Ausführung eines Verfahrens befähigt, in dem ein jeder eingehender Druckauftrag zur Herstellung eines Sicherheitsdokuments mindestens von einer Individualisierungs- oder Personalisierungs-Vorrichtung hinsichtlich seiner Autorisierung geprüft wird, insbesondere dadurch, dass ein Eingang einer Rückantwort auf Richtigkeit überprüft wird, die auf mindestens eine Verifikations- bzw. Autorisierungsanfrage erhalten wird.
Vorteilhafte Weiterbildungen der Erfindung sind Gegenstand der jeweiligen Unteransprüche. So wird in einer bevorzugten Ausführungsform der Erfindung für jeden individuell bei dem Drucker eingehenden Druckauftrag durch eine Sicherheitsschaltung bzw. Intelligenz eine Autorisierungsanfrage ausgesandt. Die Autorisierungsanfrage wird vorzugsweise an ein Personalisation Server-Sub-Center gerichtet. Auf diese Autorisierungsanfrage muss das Personalisation Server-Sub-Center mit einer Rückmeldung antworten, die in einer Ausführungsform der Erfindung zusammen mit der Autorisierungsanfrage dann von der Intelligenz innerhalb des Druckers überprüft wird, eine Berechtigung zur Erteilung eines Druckauftrages individuell sicherzustellen. Nur im Fall eines positiven Prüfergebnisses wird durch den Drucker ein jeweilig anliegender individueller Druckauftrag auch ausgeführt. In einer alternativen Ausführungsform der Erfindung wird die Autorisierungsanfrage an einen übergeordneten Entscheider übersandt und muss dort korrekt beantwortet werden, was wiederum erst bei dem zur Ausführung ausgewählten Drucker überprüft wird.
In einer besonders vorteilhaften Ausführungsform der Erfindung ist eine Grenze zwischen einem Entscheider bzw. einer Regierung hin zu den nachfolgend Druckaufträge ausführenden Organen durch einen Rechner gebildet. Dieser Rechner übernimmt in einer bevorzugten Ausführungsform die Funktion eines Poxy-Servers und schafft einen Angleich zwischen einem hinsichtlich Software, Datenformaten, Datenbanken, Verschlüsselung etc. individuellen Port zu einem Entscheider bzw. einer Regierung einerseits und einem standardisierten System andererseits.
Nachfolgend werden erfindungsgemäße Ausführungsformen unter Bezugnahme auf Ausführungsbeispiele anhand von Abbildungen der Zeichnung näher erläutert. In der Zeichnung zeigen:
1: eine schematische Darstellung einer ersten Ausführungsform einer erfindungsgemäßen Vorrichtung mit Darstellung eines unbefugten Zugriffsversuches;
2: ein Blockdiagramm analog der Darstellung von 1 zur Illustration einer zweiten Ausführungsform mit zusätzlichen Sicherungsmerkmalen gegen unbefugten Zugriff;
3: ein Blockdiagramm zur Darstellung einer grundsätzlichen Struktur einer Vorrichtung nach dem Stand der Technik;
4: ein Blockdiagramm zur Darstellung einer weiteren bekannten Vorrichtung und
5: ein Ablaufdiagramm von Teilprozessen in einzelnen Bestandteilen einer erfindungsgemäßen Vorrichtung bis zur Ausgabe eines Sicherheitsdokuments.
Über die verschiedenen Abbildungen hinweg werden für gleiche Elemente stets die gleichen Bezugszeichen verwendet. Ohne Beschränkung der Erfindung auf dieses Einsatzfeld wird nachfolgend im Schwerpunkt auf die Herstellung von Sicherheitsdokumenten in der Form von Pässen und Ausweisdokumenten eingegangen werden.
Vorab soll auf den Stand der Technik in diesem Bereich eingegangen werden. 3 zeigt hierzu in einem Blockdiagramm eine grundsätzliche Struktur einer aus dem Stand der Technik bekannten Vorrichtung zur Herstellung von Pässen und Reisedokumenten. Bei einem Entscheider HE, der durch die Regierung eines Staates bzw. ein autorisiertes Personalisierungszentrum gegeben ist, liegen die Daten aller Personen vor, für die in zulässiger Art und Weise Ausweisdokumente erstellt werden können. Zusätzlich liegen von Personendaten getrennt für die verschiedenen Sicherheitsmerkmale der Ausweisdokumente jeweils definierte Zahlen- und/oder Coderäume beim Entscheider HE vor. Damit wird auch an dieser Stelle festgelegt, welchen Schutzumfang bzw. welche Art und Anzahl verschiedener Schutzmerkmale ein jeweiliges Sicherheitsdokument aufzuweisen hat. Für einen Druckauftrag werden diese Daten von dem Entscheider HE an einen Personalisation Server-Sub-Center PSS übersandt, wobei eine Grenze G vom Entscheider HE hin zu den nachfolgend Druckaufträge ausführenden Organen überschritten wird.
Von dem Personalisation Server-Sub-Center PSS als zentraler Verteilerstelle können entsprechende Druckaufträge an mehrere lokale Drucker verteilt werden, was in 3 durch die von dem Center PSS weggehenden Pfeile angedeutet ist. Jeder der Pfeile stellt eine LAN- oder Internet-Verbindung dar, deren Endpunkt ein Steuersystem PC für eine jeweilig nachfolgende Individualisierungs- bzw. Personalisierungseinrichtung D, nachfolgend vereinfachend als Drucker bezeichnet. Das Steuersystem PC und der Drucker D sind über eine Leitung DS zum Datenaustausch in beiden Richtungen miteinander verbunden.
Damit ist es möglich, dass der Drucker D als Teil einer gesamten Personalisierungsvorrichtung V aus einem Speicher C_I vorbereitete Sicherheitsdokumente über Zuführmittel zugeführt bekommt, diese in einer durch den Entscheider HE festgelegten Art und Weise mit Sicherheitsmerkmalen und den jeweiligen Personen-Daten versieht, um sie nachfolgend an einen Speicher Co für fertig verarbeitete Sicherheitsdokumente abzugeben. Im Rahmen dieses Verarbeitungsprozesses kann der Drucker D zu Beginn eine individuelle Nummer eines vorbereiteten Sicherheitsdokumentes auslesen und über die Druckerschnittstelle DS zur Prüfung oder weiteren Versendung an höhere Autorisierungsschichten an die Systemsteuerung PC übermitteln. So kann dann eine Verknüpfung von individuellen Pass-Daten mit einer jeweiligen Person beispielsweise im Entscheider HE vorgenommen werden.
Die Druckerschnittstelle DS stellt regelmäßig in bekannten Anlagen eine nicht weiter geschützte Hardwareverbindung dar, die auch in Form eines parallelen Standard-Druckerkabels mit Centronix-Schnittstelle oder als USB-Verbindung ausgeführt sein kann. Dementsprechend eignet sich die Druckerschnittstelle DS sehr gut für einen nicht autorisierten Eingriff. In der in 3 skizziert dargestellten Art und Weise kann hierzu die Verbindung zwischen dem Drucker D und der Systemsteuerung PC aufgetrennt oder unterbrochen werden. Anstelle der in der autorisierten Daten- und Verarbeitungsschiene liegenden Systemsteuerung PC wird nachfolgend ein unautorisiert eingreifendes Drucker-Steuersystem PC_a eingesetzt. Ein Umstecken von Kabeln reicht hierzu bereits aus. Innerhalb der Personalisierungsvorrichtung V kann bei entsprechend exakter Emulation der autorisierten Systemsteuerung PC durch die nicht autorisierte Systemsteuerung PC_a keine der Komponenten D, C_I, C_o diesen nicht autorisierten Eingriff bemerken. Insbesondere wird der Drucker D nun unter Anweisung durch die unautorisierte Drucker-Steuerung PC_a jedes beliebige Sicherheitsdokument bzw. beliebig viele Pässe für beliebige Personen herstellen. Während in der Struktur nach 3 sowohl der Entscheider HE, als auch das Personalisation Server-Sub-Center PSS externe Einheiten bilden, deren Leitungen und Datenkommunikation in an sich bekannter Art und Weise gegen Verfälschung und unautorisierten Eingriff durch Codierung und ähnliche Maßnahmen zu schützen. sind, befindet sich nur das Steuersystem PC am Ort bzw. unmittelbar benachbart zu der Personalisierungsvorrichtung V mit dem Drucker D.
Aus dem Bereich der Smart-Card-Fertigung für Geld- und Kreditkarten sowie der Code-Karten für Bezahl-Fernsehen bzw. Pay-TV und Mobiltelefone ist ein Ansatz bekannt, der in der Blockdarstellung von 4 skizziert widergegeben ist. Hier wird auf eine direkte Anbindung eines Entscheiders HE an ein Personalisation Server-Sub-Center PSS verzichtet. Vielmehr werden sämtliche Daten und Formate sowie deren Zuordnung zu jeweils freigegebenen Zahlen- und/oder Coderäumen in Form fix zugeordneter Daten- und Formatsätze DF als fertige Datei in das Personalisation Server-Sub-Center PSS eingespeist. In Erweiterung zu der Darstellung von 3 ist in dem bekannten Ausführungsbeispiel von 4 eine Schlüssel-Verwaltung KM und ein Lebenszyklus-Management LCM beim Entscheider HE angeordnet, die das Ergebnis in Form der fertigen Daten- und Formatsätze DF mit bestimmen. Wiederum können von dem Personalisation Server-Sub-Center PSS beliebige Personalisierungsvorrichtungen V in verteilten Lokationen angesprochen werden. So entspricht auch die weitere Verarbeitungsstruktur bis zum Erhalt fertig verarbeiteter Sicherheitsdokumente in einem Auffangspeicher, der bereits vorstehend unter Bezugnahme auf 3 beschriebenen Standard-Struktur.
Damit eröffnet sich analog der Ausführungen zu 3 auch in einer Struktur gemäß 4 die Möglichkeit einer Einkopplung eines unautorisiert eingreifenden Drucker-Steuersystems PC_a im Bereich der Druckerschnittstelle DS. Darüber hinaus besteht aber auch die Möglichkeit eines Eingreifens einer derartigen unautorisierten Stelle PC_a in die LAN- bzw. Internetverbindung zwischen dem Personalisation Server-Sub-Center PSS und dem Steuersystem PC für den Drucker D in der Personalisierungsvorrichtung V. Diese Möglichkeit ist unter Bezugnahme auf 3 zur Erhöhung der Übersichtlichkeit dieser Strukturabbildung nicht beschrieben und dargestellt worden. Gleichwohl wäre sie auch in 3 durchführbar. Während in der ersten unautorisierten Eingriffsmöglichkeit das autorisierte Steuersystem PC ersetzt wird, würde in der zweiten Angriffsmöglichkeit die Existenz einer manipulierten zentralen Verteilstelle PSS_a zur Täuschung des nachfolgenden Verarbeitungssystems erzeugt werden. In beiden Fällen können im angreifenden System unter Abkopplung oder Unterdrückung des autorisierten Datenpfades gefälschte Daten eingespeist werden. Diese unautorisierten Daten werden dann trotz den vorgeschriebenen Regeln entsprechend zu Ausweis-Dokumenten verarbeitet. Derartig gefälschte Daten können in der Ausführungsform nach 4 beispielsweise durch das Kopieren von Teilen des eindeutig definierten und einmaligen Zahlen- und/oder Coderaumes in einem Verfahrensschritt CP erstellt werden. Diesen kopierten Daten können durch die unautorisierte Stelle PC_a dann beliebig vorgebbare Personendaten und zusätzlich Angaben beigemischt werden.
Damit sind unter Bezugnahme auf die 3 und 4 anhand bekannter Verfahren und Vorrichtungen beispielhafte Möglichkeiten einer missbräuchlichen Fremdsteuerung zur Erzeugung von allen Vorschriften entsprechenden Sicherheitsdokumenten unter Verwendung bekannter Personalisierungsvorrichtungen V beschrieben worden.
Diese Varianten missbräuchlicher Fremdsteuerung bei der Erzeugung von Sicherheitsdokumenten ist insbesondere bei der Herstellung maschinenlesbarer Reisedokumente, sog. Machine read able Passports MRPs, sehr kritisch. Derartige Ausweisdokumente sind durch die internationale Behörde für zivile Luftfahrt, kurz ICAO, mit weltweit etwa 188 Mitgliedsstaaten standardisiert worden. Aufgrund weiter erhöhter Sicherheitsanforderungen werden in MRPs in naher Zukunft auch Smart Card Chips integriert, z.B. in Form von RFID-Chips. Spätestens mit diesem Schritt ist das bekannte persönliche Reisedokument zu einem komplexen ePassport geworden. Aber auch ohne diese elektronische Komponente stellt das moderne Sicherheitsdokument hinsichtlich seiner Personalisierungs- und Produktionsumgebung höhere Anforderungen, als die durch bekannte Vorrichtungen erfüllt werden können.
So wird erfindungsgemäß nun zur Abwehr der vorstehend beschriebenen missbräuchlichen Eingriffe der Drucker D selber mit einer Sicherheitsschaltung bzw. Intelligenz I ausgerüstet. Durch die Sicherheitsschaltung bzw. Intelligenz I als integralem Bestandteil wird der Drucker D zur Durchführung einer Berechtigungsprüfung für jeden Druckauftrag individuell ertüchtigt. Im Rahmen einer jeden Berechtigungsprüfung wird für jeden individuell bei dem Drucker D eingehenden Druckauftrag durch die Sicherheitsschaltung bzw. Intelligenz I eine Autorisierungsanfrage A ausgesandt. Die Autorisierungsanfrage A wird im vorliegenden Beispielfall an das Personalisation Server-Sub-Center PSS gerichtet. Auf diese Autorisierungsanfrage A muss das Personalisation Server-Sub-Center PSS mit einer Rückmeldung R antworten, die zusammen mit der Autorisierungsanfrage A dann von der Sicherheitsschaltung bzw. Intelligenz I innerhalb des Druckers D überprüft wird. Nur im Fall eines positiven Prüfergebnisses wird durch den Drucker D ein jeweilig anliegender individueller Druckauftrag auch ausgeführt. Sollte die Prüfung negativ sein, so wird der Druckauftrag vom Drucker D zurückgewiesen und nicht ausgeführt.
Die an sich bekannte Struktur von 3 wird also um wesentliche Funktionen durch eine Software erweitert. Diese Software ist im wesentlichen in dem Personalisation Server-Sub-Center PSS als Server-Rechner installiert. Sie greift jedoch von der Grenze G zwischen dem Entscheider HE bzw. einer Regierung und den nachfolgend Druckaufträge ausführenden Organen bis zu ei nem Drucker D hin in den gesamten Fertigungsablauf eines Sicherheitsdokuments ein. Diese Software wird daher auch als Security-Suite bezeichnet, die auf verschiedenen Hardware-Plattformen portierbar ausgeführt ist. Grob unterteilt sich die Software in vier Bereiche: ein Personalisationsmanagement-System, eine Personalisationskontrolle, ein Unterstützungsmodul für ein Lebenszyklus-Management und schließlich eine Schlüssel-Verwaltung. Diese Bestandteile können auch mehrfach ausgeführt sein.
Das Personalisationsmanagement-System veranlasst u.a., dass sowohl Hardware, als auch die Software innerhalb des Gesamtsystems nach jedem Neustart des Systems oder eines Teils davon authentifiziert wird. Durch diese Sicherheitsüberprüfung wird ein Einschleusen fehlerhafter oder unautorisierter Bestandteile vermieden.
Die Personalisationskontrolle stellt sicher, dass nur autorisierte Druckbefehle zur Erstellung von Sicherheitsdokumenten ausgeführt werden können. Damit wird ausgeschlossen, dass Bedienungspersonal irgendeinen Einfluss auf die Erstellung von Sicherheitsdokumenten nehmen kann, insbesondere kann quasi von Hand keinem Blanko-Dokument eine bestimmte Person zugeordnet werden. Damit stellt die Personalisationskontrolle einen ganz wesentlichen Bestandteil eines erfindungsgemäßen Computerprogrammproduktes dar. Diese wichtige Funktion wird nachfolgend noch unter Bezugsnahme auf die Abbildungen der 1, 2 und 5 im Detail dargestellt werden.
Das Lebenszyklus-Management erlaubt eine genaue Überwachung und Status-Erfassung für alle Sicherheitsdokumente von der Produktion, während des Einsatzes bis hin zur definierten Entsorgung.
Die Schlüssel-Verwaltung schafft einen Abgleich der zwischen den System-Komponenten verwendeten Schlüssel bzw. Verschlüsselungen. Ferner werden Schlüssel mit einer Schlüssel-Hierarchie erstellt. Hierdurch wird die Sicherheit der Verschlüsselung gegenüber einer einfachen Schlüssel-Erzeugung noch erhöht.
Das Blockdiagramm von 1 zeigt eine Ankopplung des Druckers D über die Sicherheitsschaltung bzw. Intelligenz I an das Personalisation Server-Sub-Center PSS über eine LAN- oder Internetverbindung L. Über die LAN- oder Internetverbindung L gelangen auch autorisierte Daten an das Steuersystem PC, die von dort in aufbereiteter Form an den Drucker D zurückgesandt werden. Wie bereits in der Ausführungsform von 4 dargestellt, so kann auch hier ein Angriff auf die Datenstruktur durch Einkopplung eines unautorisierten Drucker-Steuersystems PC_a über die LAN- bzw. Internetverbindung L versucht werden. In diesem Fall versucht die Sicherheitsschaltung bzw. Intelligenz I jedoch weiterhin über diese Datenverbindung L Autorisierungsanfragen A an das autorisierte Personalisation Server-Sub-Center PSS zu senden, um von dort Rückmeldungen R zu dem unautorisierten Druckauftrag in entsprechender Art und Weise zu empfangen. Da in der vorliegenden Ausführungsform ein eingehender Druckauftrag an den Drucker D Auslöser für die Intelligenz I zum Starten eines Autorisierungsvorganges ist, sind Druckaufträge, die von dem nicht autorisierten Drucker-Steuersystem PC_a stammen, dem Personalisation Server-Sub-Center PSS nicht bekannt und können dort keine passende Rückantwort R auslösen. Anhand einer fehlerhaften oder sogar ganz ausbleibenden Rückantwort R werden derartige Druckaufträge sogleich als unautorisiert erkannt und vom Drucker D nicht ausgeführt, weil sie von der Sicherheitsschaltung bzw. Intelligenz I sofort abgelehnt werden.
Selbstverständlich sind für die Übersendung und den Empfang der im Zuge des Autorisierungsprozesses erforderlichen Autorisierungsanfragen A und Rückmeldungen R an das Personalisation Server-Sub-Center PSS oder den Entscheider HE keine separaten Leitungen erforderlich. Vielmehr werden in der vorliegenden Ausführungsform eigene Kanäle innerhalb der Übertragungsstrecke L verwendet. Die graphische Darstellung dieser Signale in 1 dient nur der Übersicht durch getrennte räumliche Darstellung einzelner Verfahrensbestandteile.
In der ersten erfindungsgemäßen Ausführungsform gemäß 1 ist die Sicherheitsschaltung bzw. Intelligenz I im Drucker D gegen externe Zugriffe durch eine geschlossene Anordnung geschützt. In einer zweiten Ausführungsform der Erfindung wird gemäß der Darstellung von 2 auch das Steuersystem PC für den Drucker D zusammen mit dem Drucker D und der Sicherheitsschaltung bzw. Intelligenz I in einer geschlossenen Einheit angeordnet. Damit kann auch von außen nicht weiter auf eine Druckerschnittstelle DS zugegriffen werden, wie dies noch in der Ausführungsform nach dem Stand der Technik gemäß 3 möglich war. In dem Ausführungsbeispiel gemäß 2 ist die Sicherheitsschaltung bzw. Intelligenz I nun dem Steuersystem PC für den Drucker D vorgeschaltet, wodurch ein unautorisierter Funktionszugriff auf den Drucker D nur außerhalb der gekapselten Einheit um den Drucker D herum über den LAN- bzw. Internetzugang L gestartet werden kann. Ein Versuch hierzu könnte darin bestehen, dass ein unautorisiertes Personalisation Server-Sub-Center PSS_a aufgeschaltet wird. Wie vorstehend bereits unter Bezugnahme auf die Ausführungsform gemäß 1 dargestellt, so scheitert auch dieser Versuch einer unautorisierten Druck-Ansteuerung des Druckers D daran, dass die Autorisierungsanfrage A durch die Sicherheitsschaltung bzw. Intelligenz I bei Eingang eines unautorisierten Druckauftrages ausgelöst und nicht an das Personalisation Server-Sub-Center PSS oder den Entscheider HE gerichtet wird und folglich nicht in Form einer korrekten Rückmeldung R beantwortet werden kann. Damit werden unautorisierte Druckaufträge zuverlässig als solche erkannt und bereits vor Verarbeitung durch das Steuersystem PC des Druckers D abgewiesen.
Als zusätzliches Sicherheitsmerkmal weist die Personalisierungsvorrichtung V neben der gekapselten Einheit aus Drucker D, Steuersystem PC und Sicherheitsschaltung bzw. Intelligenz I nun auch Speicher-Einrichtungen in Form gesicherter Module auf. In einem gesicherten Speicher C_Ic in Form eines Tresors werden vorbereitete Sicherheitsdokumente mit zugehörigen Zuführmitteln aufbewahrt. Die fertig verarbeiteten Sicherheitsdokumente werden aus dem Drucker D schließlich in einen Speicher-Safe C_Oc mit zugehörigen, abgeschlossenen Abtransportmitteln eingelagert.
Damit umfasst die Personalisierungsvorrichtung V gemäß der Abbildung von 2 nun drei gegen einen auch mechanisch durchgeführten unautorisierten Zugriff geschützte Module. Hierdurch wird schließlich auch das Handling bei der Materialzuführung sowie der Materialabtransport in Form fertiggestellter Sicherheitsdokumente erheblich vereinfacht. Insbesondere sind in einer Ausführungsform die in dem gesicherten Speicher C_Ic gelagerten individualisierten Pässe und/oder für diese Pässe bestimmte Zahlen- und/oder Coderäume bekannt.
Insbesondere können besondere Sicherheitsvorkehrungen und/oder Alarmmaßnahmen für den Fall ergriffen werden, dass eines der drei vorstehend genannten jeweils für sich gesicherten Module C_Ic, D, C_Oc in Betrieb oder während einer Störung unautorisiert geöffnet werden. So wird insbesondere eine Vernichtung der noch nicht fertig verarbeiteten Datensätze bei Auswurf und/oder Vernichtung des gerade bearbeiteten Sicherheitsdokumentes verfügt. Es können ferner sämtliche Protokolldateien über fertiggestellte Sicherheitsdokumente vernichtet werden, um unautorisierter Seite keine Informationen über benutzte Code- und/oder Zahlenräume für fertiggestellte Sicherheitsdokumente zu überlassen.
Im Zuge einer Individualisierung von vorgefertigten Passdokumenten erhält jeder Pass mindestens eine fortlaufende Nummer oder eine sonstige Kennung. Beim Zuführen eines derartig vorbereiteten Passdokumentes in den Drucker D wird mindestens eine dieser Kennungen ausgelesen, so dass sie im Drucker D zur Verfügung steht. Im Rahmen des Aufbaus einer Autorisierungsanfrage A wird im vorliegenden Ausführungsbeispiel diese Kennung eines jeweils zum Bedrucken anstehenden und vorbereiteten Passdokumentes mitversandt. In dem Personalisation Server-Sub-Center PSS muss diese Kennung bekannt sein, da es sich um ein Mitglied aus einem vorher freigegebenen und damit bekannten Zahlen- bzw. Coderaum handeln muss. Hier wird nun eine Entscheidung über eine Zuordnung der Daten einer Person zu den Daten eines Pass-Dokumentes getroffen und archiviert. Die Information über die getroffene Entscheidung kann nachfolgend in Form der Rückmeldung R an den Drucker in der Personalisierungsvorrichtung V übersandt werden, um den Druckauftrag selber zu starten. In einer alternativen Ausführungsform wird diese Zuordnungsentscheidung in den besonders gesicherten Bereich des Entscheiders HE verlagert. Entsprechend werden in diesem Fall dann auch die Autorisierungsanfragen A von dem Drucker D an den Entscheider HE gerichtet, von dem in Reaktion auf die Autorisierungsanfrage A dann auch eine Rückmeldung R an den Drucker D zurückübersandt werden wird.
Die auch in den Ausführungsbeispielen der 1 und 2 enthaltene Grenze G zwischen dem Entscheider bzw. einer Regierung hin zu den nachfolgend Druckaufträge ausführenden Organen wird erfindungsgemäß durch einen nicht weiter zeichnerisch dargestellten Rechner gebildet. Dieser Rechner übernimmt die Funktion eines Poxy-Servers. Seine wesentliche Aufgabe besteht dabei darin, dass er einen Angleich zwischen einem hinsichtlich Software, Datenformaten, Datenbanken, Verschlüsselung etc. individuellen Port zu einem Entscheider bzw. einer Regierung hin einerseits und einem standardisierten System andererseits schafft. Je nach Anwendungsfall ist damit nur an dieser einen Stelle G eine Anpassung einer erfindungsgemäßen Vorrichtung an einen jeweiligen Entscheider HE bzw. dessen Struktur vorzunehmen. Das übrige System bleibt von diesen Anpassungsmaßnahmen unberührt, wodurch insbesondere eine Fehlersuche z.B. in der Software ganz wesentlich vereinfacht wird.
Ferner sind in den Ausführungsbeispielen der 1 und 2 eine Schlüssel-Verwaltung KM sowie ein Life Cycle Management LCM beim Entscheider HE lokalisiert. Damit bestimmt der Entscheider HE zentral für alle nachgeordneten Organe der Herstellung von Sicherheitsdokumenten sämtliche Parameter der Verschlüsselung. Zudem protokolliert der Entscheider HE den gesamten Lebensweg eines Sicherheitsdokuments von der Bereitstellung der jeweiligen Schlüssel und sonstigen Sicherheitskomponenten über Ausgabe und Einsatz bis hin zu dessen definierter Vernichtung noch Gültigkeitsablauf. Damit ist neben allen jemals ausgegebenen Sicherheitsdokumenten auch der ge samte Ausschluss an Sicherheitsdokumenten, die wegen Produktionsfehlern oder sonstigen Mängeln nie ausgegeben wurden, jederzeit beim Entscheider HE abrufbar.
5 zeigt ein Ausführungsbeispiel eines Ablaufes einer gegenseitigen Anerkennung der beteiligten Systemkomponenten bis hin zur Ausgabe eines fertigen Sicherheitsdokuments, hier eines Passes. In einem Schritt 1 wird eine Authentifizierung zwischen dem Drucker D, der Personalisation Server-Sub-Center PSS und dem Entscheider HE durchgeführt. Damit sind die beteiligten autorisierten Elemente untereinander bekannt. Ein derartiger Vorgang wird regelmäßig auf Basis einer Übersendung von symmetrisch oder unsymmetrisch verschlüsselten Botschaften abgewickelt und ist an sich aus dem Stand der Technik bekannt.
In einem Schritt 2 geht beim Drucker D, dem Personalisation Server-Sub-Center PSS oder dem Entscheider HE eine Anfrage/Order auf Druck eines Passes ein. Diese Druck-Anfrage Ordr löst in der Sicherheitsschaltung bzw. Intelligenz I des Druckers D eine Autorisierungsanfrage A aus, die in Schritt 3 an den Entscheider HE übersandt wird. Auch bei sonstigem Eingang einer Druck-Anfrage Ordr wird diese überprüft. Handelt es sich um eine nicht autorisierte Anfrage auf Druck eines Ausweisdokuments, so wird im vorliegenden Beispielfall durch den Entscheider HE eine negative Quittung bzw. Antwort NAK erteilt. Das Verfahren findet damit in Schritt 4 sein definiertes Ende, indem die als unautorisiert erkannte Druck-Anfrage abgebrochen wird. Anderenfalls wird eine Rückmeldung R als positive Quittung erstellt und übersandt.
In Schritt 5 wird nun eine im Drucker D eingelesene Nummer Pass# eines jeweiligen zum Bedrucken anliegenden vorbereiteten individualisierten Passes zusammen mit Personendaten P_Data, die im Entscheider HE vorliegen, miteinander verknüpft. Damit wird entweder in dem Entscheider HE oder in dem Personalisation Server-Sub-Center PSS eine Verknüpfung zwischen einer jeweiligen Passnummer Pass# sowie einer Person anhand der zugehörigen Datensätze P_Data im Schritt 5 vollzogen. Nachfolgend wird in Schritt 6 durch das Personalisation Server-Sub-Center PSS ein Druck-Template kreiert. Weiterhin werden in Schritt 6 mit Zeitstempel versehene Log-Files Log erstellt und in der Datenbank DATA im Entscheider HE gesichert.
Ein fertiges Druck-Template wird in signierter Form und mit einem Zeitstempel versehen in Schritt 7 vom Steuersystem PC für den Drucker D entgegengenommen und an den Drucker D in aufbereiteter Form weitergeleitet. In Schritt 8 erfolgt nun durch den Drucker D der Druck anhand des Druck-Templates auf das vorher anhand seiner Nummer Pass# identifizierte Pass-Sicherheitsdokument.
In einem Schritt 9 erfolgt eine Benachrichtigung über Zeit und Ort der vollendeten Passfertigstellung und Ausgabe durch den Drucker D über den Informationspfad hin an die Datenbank DATA im Entscheider HE. Andernfalls wird eine Fehlermeldung ausgegeben. Im Schritt 10 ist der Druckauftrag abgearbeitet und der Pass ist fertiggestellt sowie ausgegeben worden.
Die vorstehend bezeichneten Datenleitungen als Verbindungen zwischen den einzelnen Funktionsblöcken werden stets unter Anwendung von Sicherungs- und Codierungsverfahren betrieben. Insbesondere wird beim Übergang von dem Personalisation Server-Sub-Center PSS hin zum Steuersystem PC für den Drucker D eine zusätzliche Codierung zur Erhöhung der Datensicherheit verwendet. Dabei kommen im vorliegenden Ausführungsbeispiel als Codierungsverfahren vorzugsweise private key/public key-Codierungsmethoden zum Einsatz. Im unmittelbaren Umfeld der Personalisierungsvorrichtung V können zusätzliche Sicherheitsmaßnahmen nun sogar heruntergestuft werden, da die nun existenten Schnittstellen optimal gegen unautorisierten Fremdzugriff gesichert werden können. Das Bedienpersonal vor Ort an der Personalisierungsvorrichtung V kann nur noch autorisiert hergestellte Pässe ausgeben.

HE: Head End/Entscheider/Regierung, Personalisierungszentrum
PSS: Personalisation Server-Sub-Center
G: Grenze zwischen Entscheider und ausführenden Organen
L: LAN- oder Internetverbindung
PC: Steuersystem für den Drucker
DS: Drucker-Schnittstelle
D: Individualisierungs-/Personalisierungsgerät bzw. Drucker
V: Personalisierungsvorrichtung
C_I: Speicher für vorbereitete Sicherheitsdokumente mit Zuführmittel
Co: Speicher für fertig verarbeitete Sicherheitsdokumente mit Abtransportmitteln
KM: Schlüssel-Verwaltung/Key Management
LCM: Life Cycle Management
PC_a: unautorisiertes angreifendes Drucker-Steuersystem
DF: fertig zugeordnete Daten- und Formatsätze,
CP: unberechtigte Kopie von eineindeutigen Datensätzen/einmalig zu vergebenden Coderäumen
PSS_a: unautorisiertes Personalisation Server-Sub-Center
B: geschützter/verborgener Bereich
I: Sicherheitsschaltung bzw. Intelligenz für Durchführung einer Berechtigungsprüfung für jeden Druckauftrag individuell
A: Autorisierungsanfrage
R: Rückmeldung/positive Quittung
C_Ic: gesicherter Speicher/Tresor für vorbereitete Sicherheitsdokumente mit Zuführmittel
C_Oc: Speicher-Safe für fertig verarbeitete Sicherheitsdokumente mit zugehörigen, geschlossenen Abtransportmitteln
Aut: Authentifizierung
Ordr: Druckauftrag
NAK: negative Quittung
Pass#: eingelesene Nummer eines Passes
P_Data: Personendaten
Log: mit Zeitstempel versehene Log-Files
DATA: Datenbank
1: Authentifizierungsschritt
2: Auslösen einer Autorisierungsanfrage
3: Übersendung an den Entscheider HE
4: definiertes Ende
5: Verknüpfung der eingelesenen Nummer Pass# mit Personendaten P_Data
6: Druck-Template kreieren
7: fertiges Druck-Template im Steuersystem PC verarbeiten
8: Druck
9: Benachrichtigung über vollendete Passfertigstellung
10: Druckauftrag abgearbeitet und der Pass ausgegeben

Claims

Verfahren zur Herstellung von Sicherheitsdokumenten, bei dem ein Sicherheitsdokument mit mindestens einem aus einer Vielzahl von unterschiedlichen Sicherungsmerkmalen durch Drucken, Prägen, Lasern oder ähnliche Verfahren versehen wird, wobei ein Entscheider (HE) über ein Personalisation Server-Sub-Center (PSS) mit mindestens einem Drucker (D) kommuniziert, dadurch gekennzeichnet, dass mindestens ein Drucker (D) einen Druckauftrag (Ordr) nur nach Eingang einer Rückmeldung (R) auf mindestens eine Verifikationsanfrage (A) ausführt, deren Richtigkeit bestätigt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Verifikationsanfrage (A) von einer Sicherheitsschaltung bzw. Intelligenz (I) im Drucker (D) ausgelöst wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Verifikationsanfrage (A) beim Personalisation Server-Sub-Center (PSS) oder beim Entscheider (HE) geprüft wird und eine entsprechende Rückmeldung (R) abgesandt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Rückmeldung (R) zusammen mit der Autorisierungsanfrage (A) von der Sicherheitsschaltung (I) innerhalb des Druckers (D) überprüft wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass Sicherheitsvorkehrungen und/oder Alarmmaßnahmen für den Fall ergriffen werden, dass eines der als gesicherte Module (C_Ic, D, C_Oc) ausgeführten Bestandteile um den Drucker (D) herum oder im Kontakt mit dem Drucker (D) in Betrieb oder währen einer Störung unau torisiert geöffnet werden.
Vorrichtung zur Herstellung von Sicherheitsdokumenten, wobei ein Entscheider (HE), ein Personalisation Server-Sub-Center (PSS) und mindestens ein Drucker (D) miteinander verbunden sind, dadurch gekennzeichnet, dass es zur Umsetzung eines Verfahrens nach einem oder mehreren der vorhergehenden Ansprüche ausgebildet ist, indem mindestens ein Drucker (D) mit einer Sicherheitsschaltung bzw. Intelligenz (I) zur Auslösung einer Autorisierungsanfrage (A) in Reaktion auf einen eingehenden Druckauftrag (Ordr) ausgestattet ist.
Vorrichtung nach dem vorhergehenden Anspruch, dadurch gekennzeichnet, dass die Sicherheitsschaltung (I) als Mittel zur Prüfung einer Berechtigung zur Erteilung eines Druckauftrages ausgebildet ist.
Vorrichtung nach einem der beiden vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Personalisierungsvorrichtung (V) eine gekapselte Einheit aus Drucker (D), Steuersystem (PC) und Sicherheitsschaltung (I) aufweist.
Vorrichtung nach einem der drei vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Speicher-Einrichtungen um den Drucker (D) herum als gesicherte Module (C_Ic, C_Oc) ausgeführt sind.
Vorrichtung nach einem der drei vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Grenze (G) zwischen einem Entscheider (HE) hin zu den nachfolgend Druckaufträge ausführenden Organen durch einen Rechner gebildet ist, insbesondere durch einen Proxy-Server.
Computerprogrammprodukt zur Steuerung eines Verfahrens zur Herstellung von Sicherheitsdokumenten, bei dem ein Sicherheitsdokument mit mindestens einem aus einer Vielzahl von unterschiedlichen Sicherungsmerkmalen durch Drucken, Prägen, Lasern oder ähnliche Verfahren versehen wird, wobei ein Entscheider (HE) über ein Personalisation Server-Sub-Center (PSS) mit mindestens einem Drucker (D) kommuniziert, dadurch gekennzeichnet, dass es nach dem Laden in einen Arbeitsspeicher einer Datenverarbeitungsanlage, die auch verteilte externe Komponenten umfassen kann, diese Datenverarbeitungsanlage zur Ausführung eines Verfahrens befähigt, in dem jeder eingehende Druckauftrag zur Herstellung eines Sicherheitsdokuments mindestens von einer Individualisierungs- oder Personalisierungs-Vorrichtung (D) hinsichtlich seiner Autorisierung geprüft wird, insbesondere dadurch, dass ein Eingang einer Rückantwort (R) auf Richtigkeit überprüft wird, die auf mindestens eine Verifikations- bzw. Autorisierungsanfrage (A) erhalten wird.